Чл. 3

Чл. 3.(1) Мерките за мрежова и информационна сигурност са организационни, технологични и технически и се прилагат в съответствие със спецификата на субектите почл. 4, ал. 1и пропорционално на заплахите с цел минимизиране на риска от тяхното реализиране. (2) (Изм. - ДВ, бр. 15 от 2022 г., в сила от 22.02.2022 г.) Минималният обхват на мерките за мрежова и информационна сигурност, както и други препоръчителни мерки, се определят с наредба на Министерския съвет по предложение на министъра на електронното управление. Мерките не може да налагат използването на определен тип технология. (3) Наредбата по ал. 2 не се прилага за ведомствата и функциите им почл. 5, т. 2. (4) Субектите почл. 4, ал. 1, т. 1 и 2поддържат система за управление на сигурността на информацията, която включва следните минимални организационни мерки:

1. разпределение на отговорностите за мрежовата и информационната сигурност;
2. прилагане на политика за мрежовата и информационната сигурност;
3. управление на:

а) риска; б) информационните активи, включително човешките ресурси; в) инцидентите; г) достъпите (физически и логически); д) измененията; е) непрекъснатостта на дейността и/или услугите (съществени, цифрови); ж) взаимодействията с трети страни.

Мерки за мрежова и информационна сигурност